Hoch kritisch

Gefährliche Schwachstelle in Kerberos geschlossen

Eine Sicherheitslücke in Kerberos 5.x lässt sich für unerlaubte Systemzugriffe ausnutzen. Auch Red Hat und Debian haben schon Flicken bereitgestellt.

Auslöser der Sicherheitslücke ist ein Fehler in der Funktion encrypt_keyid() in der Datei libtelnet/encrypt.c. Mit speziell manipulierten Anfragen an den Server lässt sich dadurch unter Umständen ein System kompromittieren. Die Sicherheitslücke ist als hoch kritisch eingestuft und Versionen vor 1.8 und alls Ausgaben von krb5-appl sind betroffen. Ein direktes Update gibt es noch nicht, aber es steht ein Patch zur Verfügung. In künftigen Versionen wird das Problem behoben sein: web.mit.edu

Die Linux-Distributoren Red Hat und Debian haben bereits Updates zur Verfügung gestellt. Red-Hat-Kunden können den Flicken via Red Hat Network einspielen: rhn.redhat.com. Anwender von Debian haben die Möglichkeit, den Flicken via Paket-Manager apt-get auszurollen: debian.org (jdo)